_{Los backends compatibles varían según la capacidad. Matriz de capacidades.}

Convierte la evidencia de infraestructura dispersa en acciones priorizadas, correlacionadas y verificables

Escáner de seguridad abierto y plano de control autoalojado para IA, MCP e infraestructura en la nube.

Comienza con un repositorio local, una imagen, un SBOM o una configuración de MCP, o conecta fuentes de infraestructura de solo lectura en el plano de control autoalojado. Mantén los datos sin procesar, las credenciales, los hallazgos y las decisiones de política dentro de tu entorno.

Inicio rápido · Demo en vivo · Documentación

De la fuente de evidencia a la acción verificada

Los equipos de seguridad rara vez carecen de escáneres. Lo que les falta es una visión confiable de qué se escaneó, qué se descubrió, qué hallazgos están realmente conectados a sistemas críticos, quién es responsable de la corrección y si la corrección se mantuvo.

agent-bom cierra ese ciclo con dos rutas de entrada honestas:

Ambas rutas convergen tras la recopilación: normaliza la evidencia en los mismos contratos Finding + UnifiedGraph, correlaciona el riesgo alcanzable, asigna un responsable y un SLA, luego vuelve a escanear para verificar el resultado. El inventario es siempre el resultado de un objetivo nombrado o una fuente conectada—nunca datos precargados sin explicación.

La promesa del producto: comienza hoy con un artefacto útil; mantén el mismo modelo de evidencia a medida que agregas CI, fuentes conectadas, historial, asignaciones, exportaciones de cumplimiento y aplicación en tiempo de ejecución en tu propio entorno.

Inicio rápido · Flujo de trabajo de evidencia · Matriz de capacidades de integración · Prueba medida del comparador · Arquitectura del plano de control

Prueba del producto: evidencia independiente, una ruta verificable

Las vistas a continuación provienen del Laboratorio de evidencia de referencia — infraestructura local modelada comprometido. La ejecución sin credenciales utiliza el repositorio real, CycloneDX, IaC de Kubernetes y analizadores de MCP, además del escáner de avisos incluido para [email protected] / CVE-2023-4863, luego correlaciona el digest OCI exacto, el UID de Kubernetes, la herramienta MCP, la identidad de carga de trabajo y los recibos de puerta de enlace local en vivo. No es evidencia de cliente ni una afirmación de nube en vivo.

La investigación carga automáticamente la última correlación completada y muestra primero el recorrido de la fuente a la ruta. La selección de instantáneas personalizadas permanece disponible como un flujo de trabajo avanzado explícito con la política de frescura visible.

La ruta resultante se confirma solo porque cada salto dirigido es transitable y está respaldado por procedencia: servicio expuesto → carga de trabajo → contenedor fijado por digest → [email protected] / CVE-2023-4863 → capacidad MCP → identidad de carga de trabajo → almacén de objetos sensibles modelado. El mismo laboratorio registra una llamada de puerta de enlace observada y un bloqueo estricto de adhesión voluntaria separado antes de la entrega de la remediación.

Regenerar el laboratorio de referencia · Abrir la galería completa del producto · Ver el protocolo de captura

Valor por rol

La ingeniería de seguridad y GRC siguen siendo flujos de trabajo separados: los hallazgos y la alcanzabilidad no se presentan como certificación de auditoría. Consulta los límites del producto. La recopilación de GitHub Actions y los requisitos de credenciales están documentados en permisos; los límites de veracidad de los escenarios se definen mediante el contrato de grafo.

Inicio rápido

Elige la ruta más pequeña que demuestre valor. No se requiere cuenta ni plano de control para escaneos de repositorios, imágenes, SBOM, estaciones de trabajo o configuraciones de MCP.

Ruta A — escanear ahora, sin conexión

La muestra sin conexión se completa sin descargar una base de datos de avisos y muestra la forma de salida de inventario, hallazgo, ruta alcanzable y remediación.

pip install agent-bom
agent-bom scan --demo --offline

La muestra contiene intencionalmente un paquete malicioso conocido, por lo que se espera el estado de salida 1 y el informe impreso está completo. Escanea un repositorio a continuación:

agent-bom scan .

El escaneo del repositorio muestra inventario, hallazgos e impacto alcanzable. agent-bom scan . y agent-bom scan -p . son el mismo comando; PATH es un alias de --project.

Ruta B — conectar una fuente, luego escanear

Usa esta ruta cuando la fuente es una cuenta o plataforma en lugar de un objetivo local. Inicia el plano de control controlado por el cliente, abre Connections, agrega la concesión de solo lectura del proveedor y ejecuta el primer escaneo. El flujo del navegador por defecto realiza un primer escaneo explícito tras la verificación; los escaneos programados son una adhesión voluntaria explícita del operador.

pip install 'agent-bom[ui]'
AGENT_BOM_NO_AUTH_ROLE=analyst agent-bom serve --persist ~/.agent-bom/control-plane.db

La ruta SQLite explícita mantiene los trabajos de escaneo, los hallazgos, el historial de cumplimiento y el inventario de grafo disponibles juntos tras un reinicio. Omite --persist solo para un proceso intencionalmente efímero. El rol local explícito analyst permite que este operador de bucle invertido ejecute escaneos; el rol anónimo predeterminado del servidor permanece de solo lectura.

Para la incorporación sin interfaz, agent-bom connect <provider> imprime la concesión exacta, el límite de credenciales, el paso de verificación y el siguiente comando de escaneo. La guía de conexión a la nube documenta AWS, Azure, GCP y Snowflake, incluido el alcance de la organización y el comportamiento del programador.

¿Necesitas un escaneo desconectado? Primero siembra la base de datos de avisos de paquetes más pequeña:

agent-bom db update --osv-ecosystem PyPI
agent-bom scan . --offline

Si esa base de datos falta o no se puede leer, el escaneo escribe un artefacto parcial cuando se establece -o y sale con 1; por lo tanto, CI no puede confundir una cobertura de avisos no disponible con un escaneo limpio.

En una base de datos nueva, ese comando cubre solo el ecosistema seleccionado; los paquetes de otros ecosistemas permanecen como brechas de cobertura sin conexión explícitas. Repite --osv-ecosystem para un repositorio políglota, o usa agent-bom db update --source osv para el archivo de todos los ecosistemas de OSV. El archivo completo puede superar 1 GB, puede tardar varios minutos y muestra el progreso en vivo con el total exacto cuando el servidor lo proporciona. Ejecuta el agent-bom db update más amplio cuando también necesites fuentes de distribución, probabilidad de explotación y vulnerabilidades conocidas explotadas.

Una salida distinta de cero es un veredicto, no un fallo. scan sale con 0 cuando nada coincidió con una puerta, y 1 cuando algo lo hizo — un umbral --fail-on-* que estableciste, un paquete malicioso conocido, o un escaneo que no se completó. El informe se imprime completo en cualquier caso, y la última línea nombra la puerta que coincidió. Contrato completo de códigos de salida.

Guarda un artefacto con agent-bom scan . -f sarif -o findings.sarif, o sigue la guía de primera ejecución para formatos y uso en CI.

Ciclo diario del desarrollador

Prueba el escáner sin instalarlo, luego verifica un paquete antes de agregarlo:

uvx agent-bom scan .
uvx agent-bom check [email protected] --ecosystem pypi

check devuelve un veredicto de preinstalación permitido/inseguro/incompleto; scan cubre el repositorio más la configuración de IA/MCP descubierta. Para hacer automáticas las puertas de dependencias y secretos para un equipo, fija los hooks de consumidor incluidos:

repos:
  - repo: https://github.com/msaad00/agent-bom
    rev: v0.103.2
    hooks:
      - id: agent-bom-secrets
      - id: agent-bom-scan

Ejecuta pre-commit install una vez. Los hooks instalan agent-bom en su propio entorno aislado, por lo que los colaboradores no necesitan una instalación global separada. Comportamiento de los hooks y ejemplos de CI.

agent-bom scan --demo --offline

Autoalojamiento

El plano de control es la ruta de crecimiento, no un requisito previo. Úsalo cuando los artefactos puntuales necesiten convertirse en un flujo de trabajo de equipo duradero: fuentes registradas, escaneos programados, historial, instantáneas de inventario, propiedad de hallazgos, investigación de grafo, evidencia de cumplimiento y política en tiempo de ejecución—todo dentro de la nube, el clúster, la base de datos, la identidad y el límite de auditoría del cliente.

Inicia el perfil de evaluación de bucle invertido:

pip install 'agent-bom[ui]'
AGENT_BOM_NO_AUTH_ROLE=analyst agent-bom serve --persist ~/.agent-bom/control-plane.db

Luego abre Connections para agregar una fuente o New Scan para apuntar a un repositorio, imagen, SBOM, configuración de MCP o ruta de IaC. Un escaneo produce el inventario; el inventario no se rellena simplemente iniciando el servidor.

Para un despliegue compartido, usa la ruta Docker o Helm con forma de producción y configura identidad real, TLS, PostgreSQL, cifrado y claves de auditoría antes de exponerlo.

Los ejemplos apuntan a este candidato de versión; confirma la disponibilidad de la versión antes de copiar una fijación exacta. De lo contrario, usa la última versión mostrada en PyPI.

Descripción general del despliegue · Configuración empresarial · Conexiones a la nube

Confianza

• Descubrimiento de solo lectura por defecto; las decisiones de escritura en tiempo de ejecución son separadas y explícitas.
• Las credenciales son de solo escritura donde se almacenan, cifradas en reposo y nunca devueltas por las respuestas de la API.
• Las rutas de la API y del plano de control están delimitadas por inquilino y protegidas por autenticación fuera del modo local explícito.
• La evidencia faltante se muestra como no disponible o parcial, nunca se convierte en un cero factual.
• Los ejemplos públicos y las capturas de pantalla usan solo identificadores sintéticos deterministas.

Modelo de amenazas · Verificación de versiones · Política de seguridad · Modelo de seguridad de MCP

Contribuir y soporte

¿Atascado, o no estás seguro de dónde encaja una pregunta? SUPPORT.md tiene el enrutamiento y una declaración honesta de qué respuesta esperar.

Para contribuir, comienza con CONTRIBUTING.md, AGENTS.md y los problemas abiertos.

Licencia Apache-2.0.